深刻度別の脆弱性

CVSS スコアと深刻度でCVEを絞り込みます。掲載は High / Critical に加え、CVSS が基準未満でも CISA KEV に収載され実際の悪用が確認されているものを含みます。

悪用確認(KEV)のみ

深刻度別の脆弱性125件

Critical CVSS 10.0 KEV 悪用確認

Arista VeloCloud Orchestrator On-Prem の OS コマンドインジェクション（未認証・ゼロデイ悪用・KEV／CVSS 10.0）

CVE-2026-16812Arista Networks / VeloCloud Orchestrator (VCO) On-Prem 5.2.0〜5.2.3.14未満 / 6.1.0〜6.1.3.4未満 / 6.4.0〜6.4.2.4未満 / 7.0.0〜7.0.0.1未満登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 10.0

Oracle Coherence の Core に未認証リモートから完全掌握に至る欠陥（CVSS 10.0）

CVE-2026-60217Oracle / Oracle Coherence（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 10.0

Roundcube Webmail ゼロクリック格納型XSS（メール閲覧だけで実行）

CVE-2026-54433Roundcube / Roundcube Webmail登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認ランサム悪用

SonicWall SMA1000 アプライアンス Work Place 未認証SSRF（ゼロデイ悪用・KEV）

CVE-2026-15409SonicWall / SMA1000 Appliances (SMA6210/7210/8200v ほか)登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 10.0

Roundcube Webmail の HTML メール CSS 無害化不足（SSRF・内部情報の漏えい）

CVE-2026-62643Roundcube / Roundcube Webmail 1.6.17 未満 / 1.7.2 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Adobe ColdFusion パストラバーサル（任意コード実行）

CVE-2026-48282Adobe / ColdFusion登録: 2026/07/07

AWSGCPAzureLinux
Critical CVSS 10.0

Traefik の認証ミドルウェアがアンダースコア版ヘッダを消し残す（CVSS 10.0）

CVE-2026-54763Traefik Labs / Traefik v2.11.51 未満 / v3.0.0 以上 v3.6.22 未満 / v3.7.0 以上 v3.7.6 未満登録: 2026/07/06

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

SimpleHelp 認証バイパス（OIDC 署名未検証）

CVE-2026-48558SimpleHelp / SimpleHelp登録: 2026/06/29

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Ubiquiti UniFi OS 不適切なアクセス制御（不正な設定変更）

CVE-2026-34908Ubiquiti / UniFi OS登録: 2026/06/23

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Ubiquiti UniFi OS コマンドインジェクション

CVE-2026-34910Ubiquiti / UniFi OS登録: 2026/06/23

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Ubiquiti UniFi OS パストラバーサル

CVE-2026-34909Ubiquiti / UniFi OS登録: 2026/06/23

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Ivanti Sentry OS コマンドインジェクション（root RCE）

CVE-2026-10520Ivanti / Sentry登録: 2026/06/11

AWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認

Cisco Catalyst SD-WAN 認証バイパスによる管理者権限奪取（未認証・実際に悪用・KEV）

CVE-2026-20182Cisco / Catalyst SD-WAN Controller / Manager / Validator登録: 2026/05/14

AWSGCPAzureLinux
Critical CVSS 9.9

containerd の CRI チェックポイント取り込みでノード内イメージタグ汚染（越境コード実行）

CVE-2026-50195containerd / containerd 2.1.0〜2.1.8 / 2.2.0〜2.2.4 / 2.3.0〜2.3.1登録: 2026/07/26

AWSGCPAzureLinux
Critical CVSS 9.9

Oracle WebLogic Server の SAML 経路に低権限から乗っ取りへ至る欠陥（CVSS 9.9）

CVE-2026-60206Oracle / Oracle WebLogic Server（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.9

Langflow で認証済みユーザーが DB 直接操作により superuser へ昇格し任意コマンドを実行できる

CVE-2026-8635IBM / Langflow OSS 1.0.0 - 1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

IBM Langflow OSS ディスクキャッシュの安全でないデシリアライズによるRCE

CVE-2026-8476IBM / Langflow OSS 1.0.0-1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

IBM Langflow OSS コード検証APIの exec() 実行による認証済みユーザーからのRCE

CVE-2026-8481IBM / Langflow OSS 1.0.0-1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

IBM Langflow ToolGuard 経由のコード実行（allow_custom_components=false を迂回）

CVE-2026-9135IBM / Langflow OSS 1.0.0 〜 1.10.0（Langflow 1.9.2 以前）登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.9

Adobe ColdFusion コードインジェクション（低権限から任意コード実行）

CVE-2026-48322Adobe / ColdFusion登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.9

PAN-OS の LSVPN に XML インジェクション（未認証・CVSS 9.9）

CVE-2026-0284Palo Alto Networks / PAN-OS 10.2.0〜12.1.6（Large Scale VPN 機能）登録: 2026/07/09

AWSGCPAzureLinux
Critical CVSS 9.8 NEW KEV 悪用確認

Progress LoadMaster の未認証コマンドインジェクション（悪用確認済み・KEV）

CVE-2026-8037Progress / Progress ADC 製品（LoadMaster アプライアンス）登録: 2026/08/07

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Traffic Server regex_remap のスタックオーバーフロー（CVSS 9.8）

CVE-2026-58179Apache Software Foundation / Apache Traffic Server 8.0.0〜8.1.9 / 9.0.0〜9.2.14 / 10.0.0〜10.1.3登録: 2026/07/29

AWSGCPAzureLinux
Critical CVSS 9.8

Keras の Lambda レイヤー逆シリアライズで安全モードが無効化され任意コード実行

CVE-2026-12481keras-team / Keras 3.14.0登録: 2026/07/28

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

JetBrains TeamCity のデシリアライズ欠陥（未認証リモートコード実行・悪用確認済み）

CVE-2026-63077JetBrains / TeamCity 2025.11.7 未満、および 2026.1 〜 2026.1.2登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.8

IBM Langflow の MCP エンドポイントで未認証の越境アクセス（CVSS 9.8・認可欠如）

CVE-2026-7663IBM / Langflow OSS 1.0.0〜1.9.6登録: 2026/07/26

AWSGCPAzureLinux
Critical CVSS 9.8

Citrix NetScaler ADC/Gateway に複数のメモリオーバーフロー欠陥（CVSS 8.8・Gateway/AAA構成で異常動作・DoS）

CVE-2026-8452Citrix (Cloud Software Group) / NetScaler ADC / NetScaler Gateway 14.1-72.61 以前・13.1-63.18 以前（FIPS/NDcPP 含む）登録: 2026/07/25

AWSGCPAzureLinux
Critical CVSS 9.8

Firefox 152.0.3 以前にメモリ安全性の欠陥（CVSS 9.8・一部はコード実行に至り得る）

CVE-2026-14241Mozilla / Firefox 152.0.4 未満（MFSA2026-62）登録: 2026/07/25

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Microsoft SharePoint 信頼できないデータのデシリアライズによる未認証RCE（KEV登録）

CVE-2026-50522Microsoft / SharePoint登録: 2026/07/22

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Check Point SmartConsole 不適切な認証によるログイントークン奪取（管理者権限で認証可能・KEV登録）

CVE-2026-16232Check Point / SmartConsole / Quantum Security Management / Multi-Domain Security Management登録: 2026/07/22

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

WordPress コアの REST API バッチ経路の取り違えで SQLインジェクションからRCEに至る

CVE-2026-63030WordPress / WordPress 6.9.0〜6.9.4 / 7.0.0〜7.0.1登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Langflow の validate エンドポイントで未認証の任意コード実行が可能

CVE-2026-0770Langflow / Langflow 1.7.3 以前登録: 2026/07/21

AWSGCPAzureLinux
Critical CVSS 9.8

ktransformers の ZMQ ソケットで未認証の pickle デシリアライズにより任意コマンドが実行できる

CVE-2026-63767kvcache-ai / ktransformers 0.6.3 以前登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.8

GPT-SoVITS の webui.py で未認証の OS コマンドインジェクションが可能

CVE-2026-63766RVC-Boss / GPT-SoVITS 20250606v2pro 以前登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.8

AVideo の Live プラグインで OS コマンドインジェクション（CVE-2026-45578 の修正不備）

CVE-2026-64625WWBN / AVideo 29.0 未満登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.8

Langflow の auto_login エンドポイントが未認証で長期有効な superuser トークンを発行する認証不備

CVE-2026-9103IBM / Langflow OSS 1.0.0 - 1.10.0登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8

Bricksforge (WordPress) の Pro Forms 登録処理で未認証の管理者アカウント作成が可能な権限昇格

CVE-2026-14956Bricksforge / Bricksforge (WordPress プラグイン) 3.1.8.6 以前登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8

IBM Langflow OSS 公開フロー実行エンドポイントの認証不要リモートコード実行

CVE-2026-13448IBM / Langflow OSS 1.0.0-1.10.1登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8

IBM Langflow OSS ハードコードされた認証情報（1.10.1 も影響・1.10.2 で修正）

CVE-2026-13446IBM / Langflow OSS 1.0.0-1.10.1登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

IBM Langflow の未認証リモートコード実行（KEV 収載・是正期限 2026-08-07）

CVE-2026-9198IBM / Langflow OSS（1.0.0 以上 1.10.1 未満）登録: 2026/07/17

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Microsoft SharePoint Server 未認証の遠隔コード実行（信頼できないデータのデシリアライズ・実際に悪用・KEV）

CVE-2026-58644Microsoft / SharePoint Server 2016 / 2019 / Subscription Edition登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Fortinet FortiSandbox 未認証のOSコマンドインジェクション（WEB UI・実際に悪用・KEV）

CVE-2026-25089Fortinet / FortiSandbox / FortiSandbox Cloud / FortiSandbox PaaS登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Fortinet FortiSandbox 未認証のOSコマンドインジェクション（実際に悪用・KEV）

CVE-2026-39808Fortinet / FortiSandbox登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Oracle E-Business Suite Payments 未認証の乗っ取り（File Transmission・実際に悪用・KEV）

CVE-2026-46817Oracle / E-Business Suite (Oracle Payments / File Transmission, 12.2.3-12.2.15)登録: 2026/07/15

AWSGCPAzureLinux
Critical CVSS 9.8

Oracle PeopleSoft PeopleTools 未認証RCE（Environment Management Hubへ資格情報不要のHTTPで悪用・ShinyHunters実害）

CVE-2026-35278Oracle / PeopleSoft Enterprise PeopleTools登録: 2026/07/15

AWSGCPAzureLinux
Critical CVSS 9.8

Twig テンプレート名経由のコードインジェクション（3.26.0 で修正）

CVE-2026-46633Twig / Twig（PHP テンプレートエンジン）登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Kylin バックエンドAPI の OS コマンドインジェクション

CVE-2026-62392Apache Software Foundation / Apache Kylin登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Microsoft SharePoint Server 認証欠如による権限昇格（未認証・実際に悪用・KEV）

CVE-2026-56164Microsoft / SharePoint Server 2016 / 2019 / Subscription Edition登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

WAGO System I/O Field シリーズ起動時の未文書化診断機能への未認証アクセス（フルシステム侵害）

CVE-2026-4769WAGO / WAGO System I/O Field シリーズ登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Microsoft Dynamics 365 Business Central / NAV デシリアライズによる未認証RCE

CVE-2026-55944Microsoft / Dynamics 365 Business Central / Dynamics NAV登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Active Directory ドメインサービスのヒープオーバーフロー（未認証RCE・CVSS 9.8）

CVE-2026-49164Microsoft / Windows Server / Windows 10・11（Active Directory Domain Services。2026年7月の累積更新で修正）登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Apache Kylin のテーブルカタログ更新APIにおける SQL インジェクション（未認証で完全侵害）

CVE-2026-62390Apache Software Foundation / Apache Kylin 4.0.0 以上 5.0.3 以下登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8

Symfony の argv 解釈差による APP_ENV / APP_DEBUG 上書き（CVE-2024-50340 の修正不備）

CVE-2026-47767Symfony / Symfony 5.4.46 以上 5.4.52 未満 / 6.4.40 未満 / 7.4.12 未満 / 8.0.12 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Balbooa Forms (Joomla) 認証不要の任意ファイルアップロード（RCE）

CVE-2026-56291Balbooa / Balbooa Forms (Joomla 拡張)登録: 2026/07/10

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

iCagenda (Joomla) 認証不要の任意ファイルアップロード（RCE）

CVE-2026-48939iCagenda / iCagenda (Joomla 拡張)登録: 2026/07/10

AWSGCPAzureLinux
Critical CVSS 9.8

IntelliJ IDEA がプロジェクトを開くだけでコード実行（CVSS 9.8）

CVE-2026-59792JetBrains / IntelliJ IDEA 2026.1.4 未満（2026.2 系も対象）登録: 2026/07/10

AWSGCPAzureLinux
Critical CVSS 9.8

IBM API Connect 認証不要のSQLインジェクション（パスワードリセット）

CVE-2026-9074IBM / API Connect（10.0.8.0 から 10.0.8.9 まで、および 12.1.0.0 から 12.1.0.3 まで）登録: 2026/07/08

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

JoomShaper SP Page Builder (Joomla) 認証不要の任意ファイルアップロード（RCE）

CVE-2026-48908JoomShaper / SP Page Builder (Joomla 拡張)登録: 2026/07/07

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Joomla Page Builder CK 認証不要の任意ファイルアップロード（RCE）

CVE-2026-56290Joomlack / Page Builder CK (Joomla 拡張)登録: 2026/07/07

AWSGCPAzureLinux
Critical CVSS 9.8

FreeRDP クライアント（32ビットビルド）の整数オーバーフローによるヒープ破壊

CVE-2026-57156FreeRDP / FreeRDP クライアント 3.28.0 未満（**32ビットビルドのみ**）登録: 2026/07/06

AWSGCPAzureLinux
Critical CVSS 9.8

Budibase の公開アプリから未認証でバックエンドDBを全件読み書きできる欠陥（CVSS 10.0）

CVE-2026-54350Budibase / Budibase 3.39.12 より前登録: 2026/06/26

AWSGCPAzureLinux
Critical CVSS 9.8

Flowise の文書ストアAPIに未認証で任意ファイルを書き込める欠陥（CVSS 9.8・再起動でRCE）

CVE-2025-71338FlowiseAI / Flowise 3.1.3 以前登録: 2026/06/25

AWSGCPAzureLinux
Critical CVSS 9.8

Node.js の TLS ホスト名にヌル文字を埋めると接続先が静かにすり替わる欠陥（NVD 9.8 / ベンダー Medium）

CVE-2026-48930Node.js（OpenJS Foundation） / Node.js 22 / 24 / 26（22.23.0・24.17.0・26.3.1 より前）登録: 2026/06/25

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

PTC Windchill / FlexPLM 不適切な入力検証（未認証 RCE）

CVE-2026-12569PTC / Windchill / FlexPLM登録: 2026/06/25

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Lantronix EDS5000 コマンドインジェクション（root）

CVE-2025-67038Lantronix / EDS5000登録: 2026/06/23

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Splunk Enterprise 認証欠如（任意ファイル作成／切り詰め）

CVE-2026-20253Splunk / Splunk Enterprise登録: 2026/06/18

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

Oracle PeopleSoft PeopleTools 認証欠如（システム乗っ取り）

CVE-2026-35273Oracle / PeopleSoft Enterprise PeopleTools登録: 2026/06/12

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Joomla 拡張 JCE (Joomla Content Editor) の不正アクセス制御（未認証で PHP アップロード・実行）

CVE-2026-48907Widget Factory (JCE) / JCE editor extension for Joomla登録: 2026/06/05

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

Nx Console 悪意あるバージョン公開によるサプライチェーン侵害（資格情報窃取）

CVE-2026-48027Nx / Nx Console (VS Code 拡張)登録: 2026/05/27

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Mirasvit Full Page Cache Warmer（Magento 2）PHPオブジェクトインジェクションによる未認証RCE

CVE-2026-45247Mirasvit / Full Page Cache Warmer (Magento 2 拡張)登録: 2026/05/26

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

LiteSpeed cPanelプラグイン権限昇格（root到達・実際に悪用・KEV）

CVE-2026-48172LiteSpeed Technologies / LiteSpeed User-End cPanel Plugin (2.4.5 より前)登録: 2026/05/21

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Drupal core の SQL インジェクション（権限昇格・RCE の可能性）

CVE-2026-9082Drupal / Drupal core登録: 2026/05/20

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

BerriAI LiteLLM 認証キー検証の SQL インジェクション（プロキシDB読み取り・改ざん）

CVE-2026-42208BerriAI / LiteLLM (AI Gateway / proxy)登録: 2026/05/08

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Palo Alto Networks PAN-OS User-ID認証ポータル（Captive Portal）バッファオーバーフローによる未認証RCE

CVE-2026-0300Palo Alto Networks / PAN-OS登録: 2026/05/06

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認ランサム悪用

cPanel & WHM ログインフローの認証バイパス（CRLFインジェクションによる未認証アクセス）

CVE-2026-41940WebPros / cPanel & WHM / WP Squared登録: 2026/04/29

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

marimo ターミナルWebSocketの認証欠如による未認証RCE（KEV）

CVE-2026-39987marimo-team / marimo (0.23.0 より前)登録: 2026/04/09

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Fortinet FortiClient EMS SQLインジェクション（未認証で任意コード実行）

CVE-2026-21643Fortinet / FortiClient EMS登録: 2026/02/06

AWSGCPAzureLinux
Critical CVSS 9.8 KEV 悪用確認

Ivanti Endpoint Manager Mobile コードインジェクション（未認証RCE）

CVE-2026-1340Ivanti / Endpoint Manager Mobile (EPMM)登録: 2026/01/29

AWSGCPAzureLinux
Critical CVSS 9.6

containerd の CRI で CDI 密輸によるチェックポイント復元時の権限昇格（CVSS 9.6）

CVE-2026-53492containerd / containerd 2.1.0〜2.1.8 / 2.2.0〜2.2.4 / 2.3.0〜2.3.1登録: 2026/07/27

AWSGCPAzureLinux
Critical CVSS 9.6

Centreon centreon-open-tickets モジュールの Server-Side Template Injection（SSTI）による RCE

CVE-2026-14453Centreon / Centreon centreon-open-tickets モジュール登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.6 KEV 悪用確認ランサム悪用

@tanstack/* npm パッケージへの悪意あるバージョン混入（OIDC 悪用のサプライチェーン侵害）

CVE-2026-45321TanStack / @tanstack/* (npm パッケージ群)登録: 2026/05/12

AWSGCPAzureLinux
Critical CVSS 9.3 KEV 悪用確認ランサム悪用

Check Point Security Gateway IKEv1 認証バイパス（VPN 不正接続）

CVE-2026-50751Check Point / Security Gateway (Remote Access / Mobile Access)登録: 2026/06/08

AWSGCPAzureLinux
Critical CVSS 9.1

FreeRDP crypto_rsa_common() のヒープバッファオーバーフロー（RDPサーバ側・未認証で発火）

CVE-2026-64620FreeRDP / FreeRDP 3.27.1 以前（3.28.0 で修正）登録: 2026/07/20

AWSGCPAzureLinux
Critical CVSS 9.1

zrok Python SDK ProxyShare の絶対URL受け入れによるSSRF（urljoin でターゲットホストを差し替え）

CVE-2026-45568OpenZiti / zrok 2.0.3 より前（Python SDK）登録: 2026/07/16

AWSGCPAzureLinux
Critical CVSS 9.1

Symfony X509Authenticator 認証バイパス（証明書によるなりすまし）

CVE-2026-45063Symfony / Symfony (PHP framework)登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

Symfony OIDC トークン検証不備による認証バイパス

CVE-2026-45069Symfony / symfony/security-http（OidcTokenHandler）登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

Pillow の McIdas AREA 画像処理における境界外読み取り（プロセスメモリ漏えい）

CVE-2026-54058Python Pillow / Pillow 12.3.0 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

Apache Doris FE の REST 管理 API が未認証で到達可能（クラスタの完全性・可用性に影響）

CVE-2026-58319Apache Software Foundation / Apache Doris 3.1.0 未満登録: 2026/07/14

AWSGCPAzureLinux
Critical CVSS 9.1

gawk do_sub() の整数オーバーフロー（32bit ビルドが対象・ディストリ未修正）

CVE-2026-40469GNU / gawk（GNU awk）登録: 2026/07/13

AWSGCPAzureLinux
Critical CVSS 9.1

Perl の正規表現が黙って誤った一致を返す整数オーバーフロー（CVSS 9.1）

CVE-2026-13221Perl / Perl 5.43.9 以前登録: 2026/07/13

AWSGCPAzureLinux
Critical CVSS 9.1

BOSH CLI の blobs.yml パス走査によるファイル書き込みと情報流出

CVE-2026-47826Cloud Foundry / BOSH CLI v7.10.4 未満登録: 2026/07/09

AWSGCPAzureLinux
Critical CVSS 9.1

HAPI FHIR の XSLT 変換に XXE（外部実体参照）（CVSS 9.1）

CVE-2026-55471HAPI FHIR (org.hl7.fhir.core) / org.hl7.fhir.core 6.9.10 未満登録: 2026/07/08

AWSGCPAzureLinux
Critical CVSS 9.1 KEV 悪用確認ランサム悪用

Palo Alto Networks PAN-OS GlobalProtect 認証バイパス（不正VPN接続）

CVE-2026-0257Palo Alto Networks / PAN-OS (GlobalProtect portal/gateway)登録: 2026/05/29

AWSGCPAzureLinux
Critical CVSS 9.0

Open WebUI が他人のセッションでコードを実行できる（CVSS 9.0）

CVE-2026-59216Open WebUI / Open WebUI 0.10.0 未満登録: 2026/07/09

AWSGCPAzureLinux
Critical CVSS 9.0

JupyterLab Git のリネーム差分表示に XSS（CVSS 9.0）

CVE-2026-54527Jupyter / jupyterlab-git 0.30.0b3 以上 0.54.0 未満登録: 2026/07/08

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認ランサム悪用

Microsoft SharePoint Server デシリアライズ（認証済み RCE）

CVE-2026-45659Microsoft / SharePoint Server登録: 2026/07/01

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Google Chrome / Chromium V8 境界外読み書き（ゼロデイ）

CVE-2026-11645Google / Chromium V8 / Chrome登録: 2026/06/09

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

BerriAI LiteLLM コマンドインジェクション（MCP プレビュー経由の任意コマンド実行）

CVE-2026-42271BerriAI / LiteLLM (AI ゲートウェイ/プロキシ)登録: 2026/06/08

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Langflow オリジン検証不備によるアカウント乗っ取り・RCE（実際に悪用・KEV）

CVE-2025-34291Langflow / Langflow (<= 1.6.9)登録: 2026/05/21（CVE公開: 2025年）

AWSGCPAzureLinux
High CVSS 8.8 KEV 悪用確認

Apache ActiveMQ Classic の Jolokia 経由コード実行（KEV・実際に悪用／CVSS 8.8）

CVE-2026-34197Apache Software Foundation / Apache ActiveMQ Classic 5.19.4 未満 / 6.0.0〜6.2.3登録: 2026/04/07

AWSGCPAzureLinux
High CVSS 8.6 KEV 悪用確認

Cisco Unified Communications Manager SSRF

CVE-2026-20230Cisco / Unified Communications Manager登録: 2026/06/25

AWSGCPAzureLinux
High CVSS 8.5 KEV 悪用確認

LiteSpeed cPanel プラグインシンボリックリンク追従（共有ホスティングでの権限昇格）

CVE-2026-54420LiteSpeed / LiteSpeed cPanel Plugin / WHM PlugIn登録: 2026/06/14

AWSGCPAzureLinux
High CVSS 8.4 KEV 悪用確認

Langflow 認可バイパス（IDOR による他ユーザー Flow 実行）

CVE-2026-55255Langflow / Langflow登録: 2026/07/07

AWSGCPAzureLinux
High CVSS 8.3

libssh2 クライアントライブラリ ssh2_transport_read() の境界チェック不備（未認証RCE：悪意あるSSHサーバ）

CVE-2026-55200libssh2 / libssh2 (<= 1.11.1)登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 8.1 NEW KEV 悪用確認

N-able N-central 認証バイパス（不完全な修正の再悪用・KEV 是正期限 8/6）

CVE-2026-18577N-able / N-central（バージョン 2026.3.1 まで。2026.3.1.7 以降は影響なし）登録: 2026/08/02

AWSGCPAzureLinux
High CVSS 8.1 KEV 悪用確認

DD-WRT の UPnP に未認証リモートのスタックバッファオーバーフロー（実際に悪用・KEV）

CVE-2021-27137DD-WRT / DD-WRT（45724 より前のビルド）登録: 2026/07/21

AWSGCPAzureLinux
High CVSS 8.1

Windows Server ネットワークドライバの未認証RCE（悪意あるネットワークトラフィックで任意コード実行）

CVE-2026-56188Microsoft / Windows Server（ネットワークドライバ）登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 7.8

ForgeCode がリポジトリ内 .mcp.json のコマンドを無確認で実行する任意コード実行

CVE-2026-57860Tailcall / ForgeCode (tailcallhq/forgecode) 2.11.1 以前登録: 2026/07/17

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Microsoft AD FS 権限昇格ゼロデイ（アクセス制御の粒度不足・KEV）

CVE-2026-56155Microsoft / Active Directory Federation Services (AD FS)登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Cisco Catalyst SD-WAN Manager 出力エスケープ不備による root 権限での任意コマンド実行

CVE-2026-20245Cisco / Catalyst SD-WAN Manager (旧 SD-WAN vManage)登録: 2026/06/04

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Linux カーネル cgroups v1 release_agent 権限昇格（コンテナエスケープ）

CVE-2022-0492Linux / Linux Kernel (cgroups v1)登録: 2026/06/02（CVE公開: 2022年）

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Microsoft Defender のリンク追跡による権限昇格（KEV 収載・悪用確認済み）

CVE-2026-41091Microsoft / Defender（Malware Protection Engine 1.1.26030.3008 以上 1.1.26040.8 未満）登録: 2026/05/20

AWSGCPAzureLinux
High CVSS 7.8 KEV 悪用確認

Linux カーネル crypto (algif_aead) の領域間リソース転送不備（ローカル権限昇格）

CVE-2026-31431Linux / Linux Kernel (crypto/algif_aead)登録: 2026/04/22

AWSGCPAzureLinux
High CVSS 7.5

ProFTPD mod_sftp のパケット長アンダーフローによるヒープバッファオーバーフロー

CVE-2026-53994ProFTPD Project / ProFTPD mod_sftp（1.3.10 より前のバージョン）登録: 2026/07/18

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

KNX ビルオートメーション機器接続認可のロック不能欠陥（可用性喪失・ICS・KEV）

CVE-2023-4346KNX Association / KNX devices (Connection Authorization Option 1 / BCU key)登録: 2026/07/15（CVE公開: 2023年）

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

SolarWinds Serv-U 未認証の細工POSTによるサービスクラッシュ（DoS）

CVE-2026-28318SolarWinds / Serv-U登録: 2026/06/04

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Apache Tomcat の EncryptInterceptor 迂回によるクラスタ通信の平文露出（KEV 収載）

CVE-2026-34486Apache / Tomcat 11.0.20 / 10.1.53 / 9.0.116登録: 2026/04/09

AWSGCPAzureLinux
High CVSS 7.5 KEV 悪用確認

Oracle WebLogic Server（Core）未認証リモートによる機密情報の取得/操作

CVE-2024-21182Oracle / WebLogic Server (Fusion Middleware, Core)登録: 2024/07/16

AWSGCPAzureLinux
High CVSS 7.4 KEV 悪用確認

N-able N-central の認証バイパス（別経路による認証回避・悪用確認済み）

CVE-2026-18556N-able / N-able N-central 2026.1 以前登録: 2026/08/01

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認ランサム悪用

SonicWall SMA1000 管理コンソール認証後OSコマンドインジェクション（ゼロデイ悪用・KEV）

CVE-2026-15410SonicWall / SMA1000 Appliances (SMA6210/7210/8200v ほか)登録: 2026/07/14

AWSGCPAzureLinux
High CVSS 7.2 KEV 悪用確認

Ivanti EPMM 不適切な入力検証による認証済み管理者からのRCE

CVE-2026-6973Ivanti / Endpoint Manager Mobile (EPMM)登録: 2026/05/07

AWSGCPAzureLinux
Medium CVSS 6.7 KEV 悪用確認

Trend Micro Apex One（オンプレミス）の相対パストラバーサル（悪用確認済み・KEV）

CVE-2026-34926Trend Micro / Apex One（オンプレミス版）サーバー ※ Apex One as a Service / Vision One Endpoint Security - Standard Endpoint Protection は本CVEの対象外登録: 2026/05/21

AWSGCPAzureLinux
Medium CVSS 6.1 KEV 悪用確認

Microsoft Exchange Server OWA のクロスサイトスクリプティング（実際に悪用・KEV）

CVE-2026-42897Microsoft / Exchange Server（オンプレミス / Outlook on the web）登録: 2026/05/14

AWSGCPAzureLinux
Medium CVSS 5.9 KEV 悪用確認

WordPress コアの author__not_in パラメータで SQLインジェクションが起きる

CVE-2026-60137WordPress / WordPress 6.8.0〜6.8.5 / 6.9.0〜6.9.4 / 7.0.0〜7.0.1登録: 2026/07/21

AWSGCPAzureLinux
Medium CVSS 5.3 KEV 悪用確認

Cisco Secure Firewall Management Center の固定認証情報（KEV・是正期限 2026-08-01）

CVE-2026-20316Cisco / Secure Firewall Management Center (FMC) Software（旧 Firepower Management Center）登録: 2026/07/29

AWSGCPAzureLinux